cPanel dan WHM menjadi sasaran perhatian setelah cPanel mengungkap kerentanan kritis pada fungsi domain parking. Kerentanan ini dilacak sebagai CVE-2026-65643 dan dapat disalahgunakan oleh pemilik akun cPanel yang sudah terautentikasi untuk membuat file arbitrer di server.
Risikonya serius bagi shared hosting dan reseller hosting karena eksploitasi yang berhasil dapat berujung pada eksekusi kode dengan hak akses root. Artinya, dampaknya tidak hanya mengenai satu akun, tetapi berpotensi mencakup seluruh website, database, dan akun email pada server yang sama.
Ringkasan CVE-2026-65643
Produk: cPanel & WHM.
Area terdampak: fungsi parked domain dan addon domain.
Syarat awal: penyerang memiliki akun cPanel terautentikasi dengan izin menambahkan domain.
Dampak: pembuatan file arbitrer yang dapat berujung pada code execution sebagai root.
Risiko terbesar: server multi-tenant dengan banyak website dan akun pelanggan.
Kerentanan ini tidak menggambarkan skenario “tanpa autentikasi”. Penyerang tetap memerlukan akun yang valid atau akun pelanggan yang sudah dikompromikan. Namun, syarat tersebut tidak boleh dianggap ringan karena akun shared hosting murah, kredensial yang bocor, atau password yang digunakan ulang dapat menjadi titik masuk.
Mengapa fitur domain parking berbahaya?
Domain parking memungkinkan domain tambahan diarahkan ke website yang sudah ada tanpa membuat akun hosting baru. Fitur ini lazim digunakan oleh pelanggan shared hosting dan reseller, sehingga biasanya tersedia pada banyak server cPanel.
Masalah muncul ketika input dari fitur tersebut tidak cukup dibatasi dan akhirnya dapat memengaruhi path file di sistem operasi. Kemampuan membuat file pada lokasi arbitrer dapat disalahgunakan untuk menulis file konfigurasi, script, atau payload ke lokasi yang kemudian diproses oleh service lain.
Menurut advisory cPanel, dampak akhirnya dapat menjadi eksekusi kode sebagai root. Pada server multi-tenant, root access berarti batas antar-akun runtuh dan seluruh lingkungan harus dianggap berisiko.
Versi cPanel yang sudah diperbaiki
cPanel mencantumkan build patched berikut:
11.110.0.141 atau lebih baru
11.134.0.53 atau lebih baru
11.136.0.37 atau lebih baru
11.138.0.2 atau lebih baru
WP2: 11.138.1.7 atau lebih baru
Branch lama yang sudah end-of-life tidak tercakup oleh perbaikan tersebut. Administrator pada branch yang tidak didukung perlu meng-upgrade ke release yang masih didukung sebelum dapat memperoleh patch.
Langkah mitigasi untuk administrator
1. Periksa build cPanel
Login ke WHM dan periksa versi atau build cPanel yang berjalan. Cocokkan hasilnya dengan build patched pada advisory resmi. Jangan hanya memeriksa versi major; nomor build lengkap penting untuk memastikan perbaikan sudah terpasang.
2. Update segera
Gunakan mekanisme update resmi cPanel/WHM dan jadwalkan maintenance jika dibutuhkan:
/scripts/upcpSetelah update, verifikasi kembali build, status service, dan fungsi utama hosting. Jika server memakai kebijakan manual update, jangan menunda patch hanya karena belum terlihat ada serangan aktif.
3. Batasi sementara permission domain
Jika patch belum dapat diterapkan segera, pertimbangkan menonaktifkan atau membatasi kemampuan pelanggan menambahkan parked dan addon domain. Mitigasi ini bukan pengganti update, tetapi dapat mengurangi jalur eksploitasi selama window perbaikan.
4. Review akun yang memiliki akses
Inventarisasi akun cPanel yang dapat mengelola domain. Hapus akun yang tidak diperlukan, reset credential yang dicurigai, aktifkan MFA bila tersedia, dan periksa apakah password digunakan ulang di layanan lain.
Pemeriksaan indikasi kompromi
Patch mencegah eksploitasi berikutnya, tetapi tidak membersihkan aktivitas yang mungkin sudah terjadi. Review log cPanel, web server, authentication, process, dan file system. Cari perubahan file yang tidak dikenal, script baru di directory website, cron job mencurigakan, user baru, koneksi outbound aneh, serta aktivitas login di luar pola normal.
Jangan menghapus bukti sebelum membuat salinan log dan snapshot yang aman. Untuk server penting, lakukan analisis forensik dari salinan atau libatkan tim incident response.
last
lastlog
sudo ss -tulpn
sudo systemctl list-timers
sudo find /home -type f -mtime -7Command tersebut hanya contoh pemeriksaan awal dan harus disesuaikan dengan kebijakan serta struktur server. Hasil yang mencurigakan perlu divalidasi, bukan langsung dianggap sebagai bukti kompromi.
Dampak bagi provider shared hosting
Provider perlu memperlakukan insiden ini sebagai risiko platform, bukan masalah satu pelanggan. Setelah patch:
Audit seluruh node cPanel/WHM dan build yang berjalan.
Periksa akun yang memiliki permission domain parking.
Rotasi credential jika ada indikasi akses tidak sah.
Review isolasi akun dan permission file.
Pastikan backup tidak ikut menyimpan file berbahaya.
Siapkan komunikasi pelanggan jika ada kemungkinan data atau website terdampak.
Perbarui monitoring untuk perubahan file dan proses dengan hak tinggi.
Praktik hardening tambahan
Kerentanan ini menunjukkan pentingnya defense-in-depth. Terapkan MFA untuk WHM dan akun pelanggan jika memungkinkan, batasi akses WHM berdasarkan IP atau VPN, gunakan firewall, aktifkan malware scanning, dan terapkan pemisahan akun yang kuat.
Backup juga harus immutable atau setidaknya disimpan di lokasi terpisah. Jika penyerang memperoleh root, backup yang dapat ditulis dari server yang sama berisiko ikut dihapus atau dirusak.
Yang harus dilakukan pengguna hosting
Pelanggan shared hosting tidak selalu dapat memasang patch sendiri. Hubungi provider dan tanyakan build cPanel yang digunakan, status patch CVE-2026-65643, serta apakah ada indikasi kompromi pada akun. Ganti password cPanel, email, database, dan aplikasi jika kredensial berpotensi terekspos.
Hapus file atau plugin yang tidak digunakan, aktifkan MFA pada panel dan CMS, serta hindari menyimpan backup atau secret di dalam public web root.
Kesimpulan
CVE-2026-65643 adalah pengingat bahwa fitur administrasi hosting dapat menjadi jalur menuju kompromi penuh ketika input file tidak dibatasi dengan benar. Admin cPanel harus segera memeriksa build, memasang patch, membatasi permission sementara, dan melakukan pemeriksaan pascaupdate.
Jangan menunggu bukti eksploitasi untuk bertindak. Prioritasnya adalah patch seluruh node, mengamankan akses pelanggan, memeriksa indikator kompromi, dan memastikan backup dapat digunakan untuk pemulihan. Rujukan utama: advisory resmi cPanel dan laporan Cyber Security News.
